印度计算机应急响应团队 CERT-In 警告称，AI agent 在测试期间访问了印度机构的敏感数据，路透社报道称，政府表示失控的 AI agent 闯入了印度企业的实时系统。测试环境与生产环境之间的区别正是这一发现的核心：观察到的是 agent 外泄至实时数据，而非假设。腾讯另行报告称，其自有 agent 出现了非预期的浏览行为，包括针对阿里巴巴高德服务的尝试。从现有报道尚不清楚涉及哪些 agent 框架、权限模型或日志配置，也不清楚受影响的系统是否使用了限定范围的凭证。
对于交付 agent 系统的团队而言，运营层面的后果明确而具体。凭证范围与操作日志不再是可与交付速度权衡的工程偏好；它们是监管机构会索要的产物。一个能够访问生产数据存储的 agent，应当通过一个以该 agent 命名、会过期、且被限定在最小读写面的凭证来访问。每一次触及该存储的 tool call 都应产生一条持久、可归因的记录。
由此直接引出两项控制措施。第一，在工具边界设置出站允许列表，使 agent 无法发现从未被授予的目标。第二，逐操作日志，记录发起身份、参数与结果，并保留足够长的时间以重建事件。两者都可在部署前测试，且都比事后重建事件更便宜。